Разработка компонентов средств защиты информации

Функция ReadCertFromFile(const char* fileName, CK_BYTE_PTR* cert, DWORD* certSize) считывает сертификат,

расположенный по пути fileName, массив считанных данных – cert, размер считанного сертификата – certSize. Один из способов, с помощью которого в C++ можно считать файл – создание дескриптора файла с помощью функции WinAPI CreateFileA(), получение размера файла с помощью функции GetFileSize(), чтение самого файла с помощью функции ReadFile(). Найдите дополнительную информацию о данных функциях. Запрограммируйте функцию ReadCertFromFile.

Рассмотрим функцию GetX509Subject(CK_BYTE_PTR cert, int certSize, CK_BYTE_PTR* subject, int* subjectSize). Данная функция извлекает информацию о субъекте, которому принадлежит сертификат. Т.к. сертификат x.509 имеет сложную структуру (см. теоретические сведения), задача извлечения данной информации является непростой, поэтому предлагается использовать следующий код:

23

unsigned char v; unsigned int length = 0; prev = current;

if (current+2>end) return;

if (*current++ != tags[i]) return; v = *current++;

if ((v & 0x80) == 0) length = v; else

{

unsigned char lenlen = v & 0x7f;

if (current + lenlen > end) return; for (v=0; v<lenlen; v++) length =

(length<<8) + *current++;

}

if (tags[i+1]) current+=length;

}

*subject = prev;

*subjectSize = (int)(current-prev);

}

Рассмотрим функцию CreateCertFromBlob(CK_SESSION_HANDLE hSession, CK_BYTE_PTR cert, int certSize, CK_BYTE_PTR subject, int subjSize). Данная функция предназначена для записи сертификата на eToken. Обратите внимание, что одним из параметров данной функции является переменная типа CK_SESSION_HANDLE hSession. Данная переменная является дескриптором сессии работы с токеном. Для того, чтобы получить данный дескриптор, используйте функцию C_OpenSession() из списка функций pFunctionList. В

качестве параметров к данной функции передаются идентификатор

24

слота, к котрому подключен eToken, флаги CKF_SERIAL_SESSION и CKF_RW_SESSION, 2 параметра NULL, так как не используется механизм обратного вызова и уведомления, и ссылка на дескриптор &hSession. Кроме того, необходимо произвести вход под ролью пользователя на токен, с использованием функцию C_Login() из списка функций pFunctionList. В качестве параметров к данной функции передаются дескриптор сессии hSession, роль пользователя CKU_USER, ПИН-код в формате BYTE (LPBYTE)password, длина ПИН-кода strlen(password).

Рассмотрим код данной функции CreateCertFromBlob: static bool CreateCertFromBlob(CK_SESSION_HANDLE hSession

// ID сессии

, CK_BYTE_PTR cert

// сертификат

, int certSize

//размер сертификата

,CK_BYTE_PTR subject

//субъект сертификата

,int subjSize

//размер субъекта

)

{

CK_OBJECT_CLASS classAttr = CKO_CERTIFICATE; CK_CERTIFICATE_TYPE certType = CKC_X_509; unsigned long certCategory = 2;

CK_BBOOL trueVal = CK_TRUE; CK_OBJECT_HANDLE hObject;

CK_ATTRIBUTE templateArray [] =

{

{CKA_CLASS, &classAttr, sizeof(classAttr)}, {CKA_CERTIFICATE_TYPE, &certType,

sizeof(certType)},

{CKA_TOKEN, &trueVal, sizeof(trueVal)}, {CKA_SUBJECT, subject, subjSize }, {CKA_VALUE, (void *)cert, certSize }, {CKA_CERTIFICATE_CATEGORY, (void

*)&certCategory, sizeof (certCategory) }, };

int sizeOfTemplate = sizeof (templateArray) / sizeof(CK_ATTRIBUTE);

25

CK_RV rv = pFunctionList->C_CreateObject ( hSession, templateArray, sizeOfTemplate, &hObject );

if (rv) {

return false;

}

return true;

}

Здесь создается объект класса CKO_CERTIFICATE, выбирается тип сертификата CKC_X_509, категория сертификата 2, дескриптор создаваемого объекта hObject, затем создается набор атрибутов, которые присущи объекту “Сертификат x.509” на eToken, в состав которого входят указанные ранее значения, а также сам сертификат и субъект сертификата в двоичном представлении. Создается сертификат

спомощью функции C_CreateObject, которая создает объект на токене

суказанным набором атрибутов templateArray.

Также здесь используется переменная rv – она отображается результат выполнения запроса к библиотеке eToken API. Если rv = 0, значит запрос был выполнен корректно, в противном случае значение этой переменной будет соответствовать коду ошибки. Все коды ошибок находятся в файле pkcs11t.h, начинаясь с CKR.

Для получения идентификатора слота, к которому подключен eToken используйте следующую функцию:

static CK_ULONG GetFirstSlotId() {

>C_GetSlotList(TRUE,NULL_PTR,&ulCount) == CKR_OK) { if (ulCount > 0) {

pSlotIDs = new CK_SLOT_ID[ulCount];

if ((pFunctionList- >C_GetSlotList(TRUE,pSlotIDs,&ulCount)) == CKR_OK) {

for (i=0;i < ulCount;i++){ CK_SLOT_INFO info;

if ((pFunctionList- >C_GetSlotInfo(pSlotIDs[i],&info)) == CKR_OK) {

if (info.flags & (CKF_HW_SLOT | CKF_TOKEN_PRESENT)) {

26

slotID =

pSlotIDs[i];

break;

}

}

}

}

}

}

if (pSlotIDs) {

delete[] pSlotIDs; pSlotIDs = NULL_PTR;

}

return slotID;

}

Дополните функцию ImportCertificate процедурами закрытия сессии:

pFunctionList->C_Logout( hSession ); pFunctionList->C_CloseSession( hSession );

Проверьте работоспособность программы. Загрузите с помощью нее созданный сертификат на eToken. Проверьте наличие сертификата с помощью eToken PKI Client (Значок в панели задач –> Open eToken Properties -> Advanced View).

27

6. Каким образом можно проверить наличие сертификата на eToken?

29

ЛАБОРАТОРНАЯ РАБОТА №3 Разработка подсистемы обеспечения целостности

1. Цель работы

Целью работы является ознакомление с типами объектов, которые позволяет хранить и использовать eToken, приобретение навыков осуществлять операции, связанные с чтением, записью, удалением и поиском объектов на eToken.

2. Краткие теоретические сведения

Закрытый ключ RSA.

В алгоритме шифрования RSA, к отрытому ключу относят открытую экспоненту и модуль {e,n}, к закрытому ключу закрытую экспоненту и модуль {d,n} соответственно https://ru.wikipedia.org/wiki/RSA. eToken для ускорения вычислений,

использует другие компоненты – сами простые числа p и q, функцию эйлера и две дополнительные экспоненты, которые также относят к закрытому ключу. Можно рассмотреть примерную структуру PEM файла, в соответствии с которой компоненты закрытого ключа расположены. В соответствии с данной структурой, перед каждым из компонентов ключа, предварительно указывается длина компонента, затем идет сам компонент.

Рисунок 1 – Структура PEM файла

30